Die KI-Macherreihe 2026

Greenfield Approach

Auf der grünen Wiese wachsen die Ideen

Wer seine Organisation von innen umbauen will, scheitert in acht bis neun von zehn Fällen. Schuld ist selten die Technik; es sind Kultur, Silos und die Immunabwehr des eigenen Systems. Der Greenfield Approach dreht die Logik um: daneben neu bauen statt umbauen.

Das Buch beginnt mit gescheiterten Weltunternehmen: Kodak, Nokia, Loewe. Warum hatten diese Firmen die Antwort auf ihre eigene Disruption bereits im Haus und gingen trotzdem unter? Daraus entwickelt Michael Schmid die These, dass interne Innovationsfähigkeit an eingefahrenen Strukturen scheitert, nicht an fehlenden Ideen. Die Alternative ist ein neues Geschäftsfeld, das räumlich, rechtlich und kulturell getrennt neben dem Bestand entsteht, hinter einer Chinese Wall.

Beschrieben wird das dazugehörige Vier-Phasen-Modell: Analyse von Kultur und Technik, Blaupause mit der Entscheidung zwischen Transformation und Greenfield, autonome Gründung und Betrieb, schließlich Exit oder Übergang. Zentral ist die Phasenkontrolle: am Ende jeder Phase entscheidet der Auftraggeber weiter oder stopp; es gibt kein Alles-oder-nichts. Dazu kommen ein Kostenvergleich zwischen Transformation und Neuaufbau sowie das Entropie-Argument: Transformation erhöht die Unordnung im Bestand, während sie in der kleinen, getrennten Einheit wieder abfließen kann.

Kapitel 4 dekliniert die Entscheidung an einer fiktiven CEO durch, samt der typischen internen Widerstände, dem Kübler-Ross-Muster von Nicht-wahrhaben-Wollen über Zorn und Verhandeln bis zur Zustimmung. Kapitel 5 ist autobiografisch und belegt die Erfahrungsbasis des Autors von der ersten E-Mail 1985 über Faxsysteme bis zu iMode bei E-Plus. Kapitel 6 liefert die Planungsinstrumente: Timeline, Beispielpräsentation, Gantt-Diagramm, Funktionsbereiche als Mindmap.

Für wen

Unternehmensleitung und Inhaber mittelständischer und großer Unternehmen ab etwa 500 Mitarbeitern mit gescheiterten oder stagnierenden Veränderungsprojekten. Dazu Aufsichtsräte, Beiräte und Strategieberater, die eine Alternative zum klassischen Change-Management-Mandat suchen.

Denkfiguren

• Mut zum Cut der zentrale Appell: den Schnitt wagen, statt am Bestehenden zu reparieren.
• Chinese Wall die strikte Trennmauer zwischen beauftragender Organisation und Greenfield-Einheit.
• Immunsystem des Unternehmens die kollektive Abwehrreaktion gegen Veränderung.
• Leichtes Gepäck arbeiten ohne den Ballast eingefahrener Prozesse, Hierarchien und Legacy-Systeme.
• Operation am offenen Herzen das Bild für Transformation im laufenden Betrieb: riskant und kaum rückgängig zu machen.

„Viele Mitarbeiter von Unternehmen sind wie in einem Käfig im kollektiven, abwehrenden Empfinden gefangen, Lösungen von außen lehnen sie ab."

Kapitel 2.2

Managed Services richtig verstehen

Warum Technologie allein nicht reicht

Managed Services sind ein eigenständiges Geschäftsmodell und kein Outsourcing mit SLA-Aufkleber. Zwischen dem, was Anbieter liefern (Technik), und dem, was Kunden brauchen (Service), klafft eine strukturelle Verantwortungslücke: der fehlende Layer der Betriebsintegration.

Das Buch beginnt mit zwei Fallbeispielen des Scheiterns: der Leitstandtechnik eines Energieversorgers und einer Cloud-Migration im Mittelstand. In beiden Fällen war die Technik nicht das Problem. Die Organisation konnte keine dauerhafte Verantwortung übernehmen. Von dort arbeitet Schmid die Begriffe sauber auseinander: Outsourcing, Managed Service, Cloud Service; IaaS, PaaS, SaaS; Servuktion als die Gleichzeitigkeit von Produktion und Konsum, die keine zweite Chance und keine Lagerhaltung kennt.

Das Shared-Responsibility-Modell wird zerlegt und mit seinen drei blinden Flecken konfrontiert: Application Management, Integration und Support-Koordination. Ein eigener rechtlicher Teil ordnet Software als Sache nach § 90 BGB ein, dazu die §§ 327 ff. BGB, die EU-Produkthaftungsrichtlinie ab Dezember 2026, Vertragstypen und Haftungsbegrenzung. Beide Seiten werden gleichgewichtig behandelt, Auftraggeber wie Dienstleister. Der Auftraggeberfähigkeit ist ein eigenes Kapitel gewidmet: Wer führt architektonisch, und was passiert im Deadlock, wenn beide Seiten aufeinander warten und dabei unvereinbare Annahmen treffen?

Anschließend geht es um Frameworks (ITIL, FitSM, ISO 20000, COBIT, TOGAF), um Sicherheit und Compliance (ISO 27001, BSI-Grundschutz, KRITIS, B3S, NIS-2), um Service-Katalog und CMDB, um Organisation und Kultur sowie um drei Geschäftsmodelloptionen für den Aufbau eines MSP: Einbettung, Zukauf, Greenfield. Der Umsetzungsteil schließt mit einer Roadmap in drei Phasen, einem 100-Tage-Plan und den zehn Geboten für MSPs. Checklisten, RACI-Matrizen, Zertifizierungsmatrix und eine Due Diligence in sechs Dimensionen machen den Band zum Arbeitsbuch.

Für wen

IT-Entscheider, die Managed Services beauftragen oder evaluieren; Anbieter, also Systemhäuser und MSPs, und solche, die es werden wollen; Berater und Projektleiter, die Managed-Service-Projekte steuern. Dazu KRITIS-Verantwortliche, Compliance-Beauftragte und Studierende des IT-Managements.

Denkfiguren

• Die Lücke die strukturelle Kluft zwischen formaler Zuständigkeit und realer Handlungsfähigkeit.
• Betriebsintegration der Layer, den niemand besetzt: Wer sorgt dafür, dass alle Komponenten zusammenspielen?
• Servuktion Produktion und Konsum fallen beim Service zusammen; Qualitätskontrolle gibt es nur in Echtzeit.
• Auftraggeberfähigkeit die Kompetenz, externe Dienstleister so zu steuern, dass ihre Leistung in die eigene Wertschöpfung integriert wird.
• Der IT-Orchestrator das neue Rollenbild: Dirigent interner und externer Services statt Betreiber.
• Finger-Pointing jeder bestätigt, dass sein Teil funktioniert; der Nutzer kann immer noch nicht drucken.

„Die meisten Unternehmen verstehen nicht, was sie kaufen. Und die meisten Anbieter verstehen nicht, was sie verkaufen."

Vorwort

„Die Architektur stimmte. Die Dokumentation war vollständig. Aber die Organisation dahinter war nicht in der Lage, dauerhaft Verantwortung zu übernehmen."

Vorwort

Das Helferlein-Paradox

LLM zwischen Versprechen und Verantwortung — Warum KI nicht als Managed Service funktioniert

Sprachmodelle lassen sich für kritische Anwendungen nicht als Managed Service betreiben, weil ihre Kernleistung, die inhaltliche Korrektheit, weder garantiert noch gemessen noch vertraglich zugesichert werden kann. Je überzeugender das System arbeitet, desto weniger prüft der Mensch. Das ist das Paradox.

Das Buch stellt eine Beschaffungsfrage: Kann man KI für kritische Anwendungen mit Vertrag, SLA und Verantwortungsübernahme einkaufen? Es beantwortet sie durch einen Versuch statt durch Meinung. Die SLA-Falsifikationsmethode lautet: Schreibe den Vertrag und dokumentiere, an welcher Stelle er scheitert. Verfügbarkeit, Latenz und Versionskontrolle lassen sich vereinbaren. Inhaltliche Korrektheit nicht.

Als durchgehendes Anwendungsbeispiel dient eine Drohnenentwicklung mit 2.000 Seiten Spezifikation, in der ein Latenzwiderspruch zu einer falschen Annahme und am Ende zum Absturz führt. Der zweite Argumentationsstrang ist rechtlich: BGB, AI Act und Produkthaftungsrichtlinie werden durchgeprüft und als dreifache Lücke beschrieben, ergänzt um die Haftungskette mit fünf Kandidaten, von denen jeder eine plausible Verteidigung hat, an deren Ende aber niemand eindeutig haftet.

Der vierte Teil ist konstruktiv: das Rechercheur-Modell, in dem das Modell Kandidaten findet und der Mensch prüft, bewertet, entscheidet und verantwortet; die organisatorischen Voraussetzungen dafür; Version Pinning statt API-Abhängigkeit; ein ehrlicher SLA als kommentierter Mustervertrag. Angehängt sind eine Checkliste für die KI-Einführung in regulierten Branchen über fünf Phasen, ein Methodenanhang zur Zusammenarbeit mit dem Sprachmodell und eine Planungshilfe für GPU-Infrastruktur mit TCO-Rechnung über fünf Jahre. Das Buch versteht sich ausdrücklich nicht als Anti-KI-Buch, sondern als Plädoyer für Ehrlichkeit und klare Rollentrennung.

Für wen

IT-Entscheider und Geschäftsführer im Mittelstand mit einem „KI as a Service"-Angebot auf dem Tisch; Enterprise Architekten mit KI-Strategie-Verantwortung für kritische Infrastruktur; Projektleiter und Ingenieure, die LLM-Ausgaben validieren sollen; Juristinnen und Compliance-Verantwortliche, die die Haftungsfrage klären müssen.

Denkfiguren

• Das Helferlein Daniel Düsentriebs Roboter-Assistent: assistiert bei allem, versteht nichts, reicht Schrauben, ohne zu wissen, welche passt.
• Plausible Lüge statt „Halluzination": eine sprachlich korrekte, plausible, faktisch falsche Ausgabe; Systemeigenschaft statt Störung.
• SLA-Falsifikationsmethode versuche, den Vertrag zu schreiben; das Scheitern ist der Beweis.
• Kompetenzparadox wer validieren kann, braucht den Service weniger; wer ihn braucht, kann nicht validieren.
• Temporale Asymmetrie die Hilfe geschieht vor der Entscheidung, die Verantwortung bleibt danach.
• Managed Infrastructure statt Managed Intelligence was geliefert wird, gegenüber dem, was verkauft wird.

„Ein Taschenrechner zeigt ‚Error', wenn man durch Null teilt. Ein LLM erfindet eine plausible Antwort."

Kapitel 4.3

„Nutze das Werkzeug. Vertraue ihm nicht blind. Prüfe. Entscheide. Verantworte. Das gilt für LLMs. Das gilt für dieses Buch. Das gilt für alles, was wichtig ist."

Schluss

The Little Helper Paradox

LLMs Between Promise and Accountability — Why AI Cannot Work as a Managed Service

Die englische Ausgabe ist eine eigenständig für den internationalen Markt geschriebene Schwesterausgabe zu Band 3, keine Übersetzung: derselbe Beweisgang, ein anderer Rechtsrahmen.

Argumentation, Aufbau und Beispiele folgen der deutschen Fassung: dieselbe Ausgangsfrage nach der Beschaffbarkeit von KI als Managed Service, dieselbe Falsifikationsmethode, dasselbe durchgehende Drohnenbeispiel mit 2.000 Seiten Spezifikation. Unterschiedlich ist der juristische Unterbau. An die Stelle des BGB treten der Uniform Commercial Code und US-Case-Law, ergänzt um den EU AI Act, die Produkthaftungsrichtlinie 2024/2853 und den CLOUD Act. Deutsche Unternehmensbeispiele sind durch US-amerikanische und internationale Äquivalente ersetzt.

Der Titel bewahrt bewusst das Diminutiv: „Little Helper", nicht „Helper". Die Figur des Assistenten, der bei allem hilft und nichts versteht, trägt die Argumentation auch im Englischen. Die Ausgabe ist ausdrücklich in sich geschlossen; internationale Leser brauchen die deutsche Fassung nicht. Die Tonalität bleibt dieselbe: from practitioner to practitioner. Ein Native English Review ist durchlaufen.

Erhalten bleiben die Struktur aus vier Teilen mit sechzehn Kapiteln, die Anhänge zur KI-Einführung in regulierten Branchen, der Methodenanhang und die Planungshilfe für GPU-Infrastruktur. Ebenso die Kernbegriffe, die im Englischen eigene Prägungen bekommen: plausible lie statt hallucination, SLA Falsification Method, Researcher Model, Liability Chain to Nowhere.

Für wen

CTOs und VPs of Engineering mit einem „AI as a Service"-Angebot auf dem Tisch; Enterprise Architects und AI Strategy Leads, die ein Governance-Framework für sicherheits- oder compliancekritische LLM-Deployments bauen müssen; Project Manager und Lead Engineers, die LLM-Ausgaben in geschäftskritischen Projekten validieren; Legal Counsel, Risk Manager und Compliance Officers.

Denkfiguren

• Plausible Lie linguistically correct, contextually plausible, factually wrong: a property, not a malfunction.
• SLA Falsification Method try to write the contract; the failure is the proof.
• Researcher Model the model finds candidates, the human verifies, decides and carries the responsibility.
• Responsibility Theater polite language simulating accountability that does not exist.
• Validation Gap whoever lacks the expertise to verify cannot use the system safely.

„The Provider: ‚We never claimed the answers are correct.' The MSP: ‚We only delivered infrastructure.' The Company: ‚We trusted the service.' The Engineer: ‚I used an approved tool.' Each defense is individually understandable. Together they yield: No one is responsible."

Chapter 10.3

Plausible Lügen

Verrat im Hotel der Innovation — Band 2

KI-Systeme können nicht zwischen richtig und plausibel unterscheiden. Was überzeugend klingt, alle Metriken besteht und von Experten nicht sofort als falsch erkannt wird, kann trotzdem grundlegend falsch sein, und das System wird den Unterschied nie bemerken. Sicherheit kommt deshalb aus dem Käfig um das Modell herum, nie aus dem Modell selbst.

Im „Oktogon", einem Innovationscluster auf dem Gelände einer ehemaligen Kaserne in Rendsburg, arbeiten Ingenieure, Pflegekräfte und Wissenschaftler an Agnes, einem humanoiden Pflegeroboter, der von Menschen lernt, wie man Menschen berührt. Clusterleiter Dr. Friedrich Holstein hat um das System herum einen Käfig gebaut: Normen, Validierungsketten, Zwei- und Vier-Augen-Prinzip, dazu eine parallele Papierdokumentation. Papier lügt nicht.

Dann manipuliert jemand die Trainingsdaten, und zwar subtil: Winkel und Druckwerte bleiben im Toleranzbereich, die Validierung meldet keine Fehler. Nur die Pause vor dem Handgriff verschwindet. Der Moment des Innehaltens, den keine Metrik misst und den eine Pflegekraft mit dreißig Jahren Erfahrung sofort vermisst. Holstein spürt die Abweichung und findet zunächst keinen Glauben, weil alle dem System vertrauen.

Mit einer kleinen Gruppe arbeitet er die Manipulation heraus: einer emeritierten Informatikerin, die über Kolmogorov-Komplexität gefälschte Daten entlarvt, weil ein Fälscher das Rauschen der Realität nicht reproduzieren kann; einem Kryptographen, der Zeitstempel-Anomalien im Millisekundenbereich findet; einer Pflegekraft und einer früheren Cafeteria-Betreiberin. Auf der Gegenseite stehen ein amerikanischer Technologie-Pionier im Hintergrund, eine Frau mit falscher Identität und Theranos-Vergangenheit sowie ein Saboteur im Innersten des Projekts. Der Roman umfasst fünf Teile und 41 Kapitel, dazu Epilog, Lageskizze, Personenverzeichnis und Glossar. Er basiert nach Angabe des Autors auf einem realen Innovationsprojekt, das 2016 an einer politischen Entscheidung scheiterte.

Für wen

IT-Entscheider in regulierten Branchen wie Medizintechnik, Automotive und Pharma, Pflegefachkräfte und Pflegeleitungen, Compliance- und Qualitätsverantwortliche, die mit ISO 14971, IEC 61508 oder dem EU AI Act arbeiten. Dazu Thriller-Leser mit Sachinteresse, die die Hollywood-Variante nicht suchen. Informatik-Vorkenntnisse sind nicht nötig; das Glossar übersetzt.

Denkfiguren

• Der Käfig die Summe aller deterministischen Schranken um das System: Normen, Prüfschleifen, Human-in-the-Loop, physische Dokumentation.
• Die Pause der Moment des Innehaltens vor dem Handgriff; das, was Agnes verliert, und was keine Metrik misst.
• Papier lügt nicht handschriftliche Protokolle als analoge Gegenprobe gegen digital manipulierte Daten.
• Kolmogorov-Komplexität forensisches Werkzeug: manipulierte Daten sind weniger komplex als echte.
• Der Donnerstagskreis die klandestine Denkgruppe, die das Problem aufdeckt; institutionalisiertes Querdenken.

„Trust never the AI. Trust the cage it sits in."

Der Donnerstagskreis

„Wenn Sie einen Menschen hochziehen, dann ziehen Sie nicht nur einen Körper hoch. Sie ziehen eine Person hoch. Jemand mit Angst, mit Schmerz, mit Würde. Die Pause sagt: Ich sehe dich. Ich respektiere dich. Ich werde dir nicht wehtun."

Martina Brückner, Kapitel 19

Nutzlast

Was Ihre Dokumente wirklich transportieren

Der verwertbare Informationsanteil in typischen Unternehmensdokumenten liegt bei 15 bis 25 Prozent. Der Rest ist Ballast, und der wird in jeder Ingenieursdisziplin abgeworfen, nur bei Dokumenten wird er gespeichert, gesichert, migriert, archiviert, auf Compliance geprüft und bezahlt. Für immer.

Das Buch vermisst systematisch, was in einem Dokument tatsächlich steckt, und führt dafür die Nutzlast-Quote ein: Textinhalt in Bytes, geteilt durch Dateigröße, mal hundert. Bei DOCX liegt sie typischerweise zwischen 3 und 25 Prozent, bei Markdown zwischen 95 und 99. Der Begriff stammt aus Raketentechnik, Logistik und Netzwerktechnik; die Taxonomie zerlegt jedes Dokument in sieben Kategorien von der Nutzinformation bis zur Redundanz.

Historisch beschreibt der Band drei Epochen der Verschmutzung: WYSIWYG ab etwa 1985, Integration und OLE ab etwa 1992, ausführbare Elemente und VBA ab etwa 1995. Jede versprach Fortschritt und lieferte Ballast. Die Folgekosten rechnet er über sieben Stationen durch (Lizenz, Speicher, Backup, Migration, Compliance, Suchzeit, KI) und kommt für ein Modellunternehmen mit 1.000 Mitarbeitern auf rund 2,3 Millionen Euro pro Jahr, davon etwa 1.700 Euro je Mitarbeiter allein an Ballastkosten ohne Lizenz.

Ein politisches Kapitel behandelt Kontrollverlust und Souveränität: CLOUD Act, Schrems II, die Sperrung von Konten des Internationalen Strafgerichtshofs, Telemetrie. Ein weiteres beschreibt die Wertschöpfungskette der Ballast-Industrie mit sieben Gliedern, von denen keines ein Interesse an leichteren Dokumenten hat. Als Alternative benennt das Buch einen dritten Weg: die Anforderung hinterfragen, statt das Produkt zu tauschen, und Inhalt von Darstellung trennen, mit TeX, Markdown und einer Pandoc-Pipeline. Belegt wird das unter anderem am eigenen Manuskript, in dem eine einzelne Datei 1.111.551 Bytes für null genutzte Nummerierungen enthielt. Der Schnelltest steht im Buch: DOCX in ZIP umbenennen, entpacken, Textanteil messen.

Für wen

An der Oberfläche IT-Verantwortliche, Dokumentenmanager und Architekten. Eigentlich adressiert sind CFOs und CIOs, die Cloud-Migrationen verantworten oder IT-Kosten senken sollen, Politiker und Ministerialbeamte in der Souveränitätsdebatte sowie Private-Equity-Partner und Family-Office-Manager in der Due Diligence.

Denkfiguren

• Nutzlast-Quote die Kennzahl, die zum ersten Mal messbar macht, was ein Dokument transportiert.
• Ballast-Budget die Summe aller ballastbedingten Kosten, unsichtbar, weil niemand sie zusammenzählt.
• Anforderung von Null was nicht bewusst hinzugefügt wird, gehört nicht ins Dokument.
• Exit-Fähigkeit die Fähigkeit, einen Anbieter verlassen zu können: Versicherung, nicht Kündigung.
• Dokumentenvernebelung wenn KI Ballast für Inhalt hält.

„Eine Chipstüte mit 60 Prozent Luft ist Verpackungsbetrug. Ein Dokument mit 80 Prozent Ballast ist – Standard."

Kapitel 0, „Der Verpackungsbetrug"

„Wer nicht misst, rät. Wer rät, irrt. Wer irrt, bezahlt."

Anhang B, Schriftgutanalyse

Ordnungsenergie

Warum Systemintegration scheitert und was sie wirklich kostet

Systemintegration wird als Projekt verkauft und ist ein Dauerzustand. Die Komplexität eines Systemverbunds wächst quadratisch nach n(n−1)/2, und die Unordnung im Verbund wächst von alleine, auch wenn kein neues System hinzukommt. Die Energie, die diesen Zerfall aufhält, heißt Ordnungsenergie. Sie wird typischerweise um den Faktor 3 bis 5 unterfinanziert.

Das Buch nimmt konsequent die Schadensseite ein: Es erklärt, warum Integration wirtschaftlich scheitert, statt wie sie technisch funktioniert. Kern ist die Formel als Entscheidungswerkzeug: 10 Systeme ergeben 45 mögliche Verbindungen, 20 Systeme 190, 100 Systeme über 4.950. Entscheider kalkulieren linear. Anbieter zeigen die Formel nicht.

Das zweite Denkmodell ist der zweite Hauptsatz der Thermodynamik, übertragen auf IT: Versionsdrift, Personalwechsel, veraltete Dokumentation, schleichende Konfigurationsänderungen und fehlende Pflege lassen die Unordnung auch ohne Veränderung wachsen. Ordnung aufrechtzuerhalten ist ein permanenter Energieaufwand, kein einmaliger Akt: im Buch mit 135 Personentagen pro Jahr beziffert, also 108.000 bis 189.000 Euro.

Der Band kartiert sechs Abhängigkeitstypen von Vendor Lock-in bis Personenabhängigkeit, behandelt Vertragsarchitektur vor Technik (SLA-Design, Exit-Klauseln, Verantwortungsgrenzen, §§ 631–640 BGB) und untersucht vier Szenarien: Merger, Provider-Wechsel, Plattformmigration und SaaS-zu-SaaS. Ein eigenes Kapitel behandelt Legacy und die vier organisatorischen (nicht technischen) Gründe, warum Dokumentation seit vierzig Jahren scheitert. Jedes Kapitel enthält vier wiederkehrende Elemente: eine KI-Werkbank mit getestetem Prompt, ein Prüfsiegel als Grenze zwischen Maschine und Mensch, eine Schadensrechnung in Euro und einen Größenkontrast zwischen Mittelstand und Konzern. Die Summe aller Schadensrechnungen beziffert das Buch auf über zwei Millionen Euro vermeidbarer Kosten. Es schließt mit einer Prüfliste aus 23 Fragen, jede mit Kapitelverweis: bevor Sie unterschreiben.

Für wen

Geschäftsführer, CIOs und IT-Entscheider im Mittelstand (50 bis 500 Mitarbeiter) und in Großunternehmen, die Integrationsentscheidungen verantworten. Dazu IT-Leiter, Enterprise Architects, Projektmanager, Systemintegratoren und externe Berater, die Integrationsprojekte planen, Verträge prüfen oder Legacy-Altlasten bewerten.

Denkfiguren

• Ordnungsenergie der laufende Aufwand, einen Systemverbund funktionsfähig zu halten.
• Kühlturm kein Kraftwerk ohne Kühlturm, kein Systemverbund ohne laufendes Ordnungsbudget.
• Abstimmungsentropie organisatorische Unordnung, die derselben Formel folgt wie die technische.
• SLA-Kettenformel drei Systeme mit je 99,9 % ergeben 99,7 %: 26 Stunden Ausfall pro Jahr, für die niemand verantwortlich ist.
• Der Externe als Kühlturm ein Externer bringt Ordnungsenergie ein, ohne politische Reibung zu erzeugen.

„Entscheider denken linear. Komplexität wächst quadratisch."

Kapitel 1

„Links zeigt der Berater. Rechts zahlt der Kunde."

Kapitel 1

Keine Regel ohne Ausnahme

Was Compliance wirklich kostet — und was sie kosten sollte

Der Abstand zwischen dokumentierter und gelebter Compliance wächst von alleine, wie Entropie. Organisationen bemerken das nicht, weil sie auf Nachweisbarkeit optimieren statt auf Wirksamkeit. Das Audit misst, ob das Dokument existiert, nicht, ob es den Angriff verhindert hätte.

Ausgangsbild ist ein laminierter Zettel in einer Büroküche in Stuttgart: „Bitte Klobürste benutzen." Eine Regel, ein Adressat, eine Handlung, null Komplexität. Dokumentiert, kommuniziert, sichtbar, und trotzdem nicht gelebt. Von dort führt die Argumentation zur Frage, warum ein 200-seitiges ISMS nach ISO 27001 mit Risikobewertungsmatrix, Maßnahmenkatalog, jährlichem Überwachungsaudit und dreijähriger Rezertifizierung funktionieren sollte, wenn die einfachste Regel der Welt es nicht tut.

Als strukturelle Ursache benennt das Buch die Anreizlage: Auditor, Geschäftsführung und Compliance-Abteilung haben alle ein wirtschaftliches Interesse daran, dass das Zertifikat ausgestellt wird, und keines daran, das Gegenteil festzustellen. Der Autor ist trainierter ISMS Lead Auditor und hat sich nach eigener Darstellung bewusst gegen die Weiterführung entschieden. Er beziffert die realen Lebenszykluskosten einer ISO-27001-Zertifizierung und beschreibt die Compliance-Kaskade vom Konzern über den Mittelstand bis zum kleinen IT-Dienstleister, der Anforderungen erfüllen muss, die für ihn nie gedacht waren.

Das Buch bleibt nicht bei der Diagnose. Es arbeitet heraus, unter welchen Bedingungen Compliance nachweislich funktioniert (Luftfahrt-Checklisten, HACCP, die Elektrikerprüfung), setzt die menschliche Einschätzfähigkeit gegen den Regelüberschuss und schließt mit fünf Prinzipien für den Weg von der Compliance-Produktion zur Regelevolution. Das Leitmotiv wird dabei in vier Lesarten eingelöst: die Ausnahme als Reifetest der Regel, als Normalzustand, als Machtprivileg des Regelsetzers und als Beginn der nächsten, besseren Regel.

Für wen

Der Geschäftsführer im Mittelstand, der einen sechsstelligen Betrag für eine ISO-27001-Zertifizierung freigegeben hat und wissen will, ob sein ISMS ihn schützt oder nur nachweist, dass er sich bemüht hat. Die IT-Leiterin im Konzern, die drei Tage im Monat mit Compliance-Dokumentation verbringt. Der Selbständige, der vor verschlossenen Türen steht, weil in der Ausschreibung „Nur für Sozialversicherungspflichtige" steht. Der Ingenieur, der ein Zertifikat braucht, obwohl er die Materie seit zwanzig Jahren beherrscht.

Denkfiguren

• Die Klobürste das einfachste Compliance-System der Welt, und es funktioniert nicht.
• Compliance-Anschein formale Erfüllung, die die inhaltliche Nichterfüllung tarnt.
• Cover-my-Decision Gegenmodell zu Cover-my-Ass: die getroffene Entscheidung dokumentieren und verantworten.
• Compliance-Nutzlast-Quote Schutzwirkung geteilt durch Gesamtaufwand; das Denkmodell aus Band 6 auf Regelwerke angewandt.
• Regelevolution die Weiterentwicklung einer nicht funktionierenden Regel statt Regelbruch.

„Der ehrliche Zweck von 80 Prozent aller Compliance-Dokumentation ist nicht Risikominderung. Es ist Haftungsverlagerung."

Kapitel 2, „Cover-my-Ass"

„Keine Regel ohne Ausnahme. Aber die beste Ausnahme ist eine bessere Regel."

Kapitel 9, Schlusssatz

Die Denkraum-Gleichung

Wann das Kontextfenster zwischen Mensch und KI reicht

Mehr Information macht nicht klüger; ab einer Grenze macht sie exponentiell langsamer. Die Gleichung T = α(C) · (I/K) · exp(I/(K·C)) verbindet Informationsmenge, Vorwissen und Kontextkapazität und zeigt, wann KI den Denkraum erweitert und wann sie ihn flutet.

Band 9 ist der Synthese- und Schlussstein der Diagnose-Bände: Was die Vorbände qualitativ beschrieben haben, wird hier in eine Formel gefasst. Vier Größen genügen: Information, Wissen, Denkraum und die Pflicht zur Prüfung. Diese Pflicht ist Vorbedingung, kein Schmuck: Die Gleichung ist nur unter V=1 definiert. Wo der Prüfauftrag fehlt, ist die Verstehenszeit undefiniert.

Aus den vier Größen leiten sich drei Regime ab: ein triviales, in dem Verstehen leichtfällt; ein kritisches, in dem kleine Veränderungen entscheiden; und ein unlösbares, in dem das System kippt. Acht historische Fälle, darunter Challenger, Titanic, Boeing 737 MAX und Bergamo 2020, zeigen, wie sich diese Regime in der Wirklichkeit niederschlagen.

Mathematisch schließt der Band den Bogen zu Band 7: Die Formel n(n−1)/2 erweist sich über die Reihenentwicklung der Exponentialfunktion als quadratische Näherung im Niedrig-Komplexitätsregime. Beide Modelle stehen damit in einem gemeinsamen Rahmen. Für Entscheider liefert die Gleichung einen Maßstab dafür, in welchem Regime sich ein geplanter KI-Einsatz bewegt und welches Vorwissen die Mitarbeiter mitbringen müssen, damit das Ergebnis trägt. Dreizehn Kapitel, jedes als eigenständige Sitzung verwendbar, dazu drei mathematische Abbildungen, ein Glossar mit 44 Einträgen und ein Neun-Punkte-Test als Selbstdiagnose. Die wissenschaftliche Fassung ist als Preprint frei zugänglich und kann parallel zitiert werden.

Für wen

Entscheider und Fachkräfte an der Schnittstelle zwischen menschlicher Urteilskraft und KI-Einsatz: IT-Verantwortliche, Geschäftsführer, Juristen, Senior-Entwickler. Dazu Studierende und Lehrende in Wirtschaftsinformatik, IT-Management, Kognitionswissenschaft und Rechtswissenschaft. Ausdrücklich adressiert sind zwei Lebensphasen: ältere Leser, deren Lebenserfahrung im Sinne der Gleichung das Wissen ist, das der KI fehlt, und jüngere Leser, die den Maßstab dafür suchen, welches Fachwissen sie aufbauen müssen. Kein Programmierwissen erforderlich.

Denkfiguren

• Denkraum der Raum, in dem Mensch und KI gemeinsam an einer Aufgabe arbeiten können.
• Verstehenszeit (T) die Zielgröße der Gleichung: die Zeit, die ein System braucht, um eine Informationsmenge zu verstehen.
• V=1 / V=0 der Prüfauftrag als binärer Schalter; unter V=0 ist die Verstehenszeit undefiniert.
• Flutung der Zustand, in dem KI den Denkraum überschwemmt statt ihn zu erweitern.
• Drei Regime trivial, kritisch, unlösbar: die Zonen, in die die Gleichung jedes Vorhaben einordnet.

„Welche Aufgaben können Mensch und KI gemeinsam besser lösen als jeder für sich? Und welche nicht?"

Klappentext

Die Geometrie des Schadens

Alles fließt

Schäden entstehen auf den Verbindungen zwischen den Systemen, nicht in den Systemen selbst. Die Haftung landet dort, wo niemand entschieden hat. Eine Handvoll Verbindungen genügt, damit aus getrennten Systemen ein einziger Schadensraum wird.

Der Ausgangspunkt ist ein Bild aus dem Architekturdiagramm: die dünnen grauen Linien zwischen den Kästen. Sie haben keinen Hersteller, kein Budget und keinen Verantwortlichen. Weil sie niemandem gehören, ist im Schadensfall auch niemand zuständig; die Haftung landet an einer Stelle, an der keine Entscheidung getroffen wurde.

Als Aktualitätsanker dient das Jahr 2025, in dem alle drei großen Cloud-Anbieter an je einer einzigen Stelle ausfielen. Das Buch zeigt Vorständen, wo ihre entsprechende Stelle liegt. Methodisch verbindet es Netzwerk- und Perkolationstheorie mit Management- und Haftungsfragen: Perkolation beschreibt, wie ab einer kritischen Dichte von Verbindungen getrennte Bereiche schlagartig zu einem einzigen zusammenhängenden Raum verschmelzen. Der mathematische Apparat ist bewusst in einen eigenen Anhang ausgelagert, damit der Haupttext ohne technische Kenntnisse lesbar bleibt.

Das Ergebnis sind zwei Fragen und ein Verfahren, das auf zwei Dokumente und einen Termin passt. Kein Reifegradmodell, keine delegierbare Checkliste. Anschlussfähig ist der Band an die EU-Produkthaftungsrichtlinie 2024/2853 und die Melde- und Sicherheitspflichten aus NIS-2. Als erste Executive Edition der Reihe, dunkel und gold, ist er auf 84 Seiten die vollständige Diagnose der Reihe im Format einer Aufsichtsratssitzung. Wer nur wissen will, was zu tun ist, liest die letzten beiden Kapitel: kaum mehr als ein Dutzend Seiten.

Für wen

Entscheiderinnen und Entscheider, die für technische Systeme geradestehen, ohne sie im Detail zu betreiben: Vorstände, Aufsichtsräte, Geschäftsführung und ihre Berater. Ebenso für Compliance-, Risiko- und Rechtsverantwortliche sowie für IT-Leitungen, die ihre Arbeit gegenüber der Geschäftsführung sichtbar machen wollen. Technische Kenntnisse werden ausdrücklich nicht vorausgesetzt.

Denkfiguren

• Verbindungen statt Systeme die Blickverschiebung von den Kästen im Diagramm auf die Linien dazwischen.
• Perkolation das physikalische Bild dafür, wie getrennte Systeme zu einem Schadensraum verschmelzen.
• Die zwei Fragen das Kernwerkzeug des Bandes, in jeder Sitzung stellbar.
• Haftungslandeplatz die Stelle, an der die Haftung ankommt, obwohl dort niemand entschieden hat.

„Ihre Systeme sind versichert, zertifiziert und gewartet. Ihre Schäden entstehen woanders: nicht in den Geräten, sondern auf den Verbindungen zwischen ihnen — auf den dünnen grauen Linien im Architekturdiagramm, die keinen Hersteller, kein Budget und keinen Verantwortlichen haben."

Klappentext

„Keine Software, kein Reifegradmodell, keine Checkliste zum Delegieren. Zwei Fragen, die sich in jeder Sitzung stellen lassen, und ein Verfahren, das auf zwei Dokumente und einen Termin passt."

Klappentext

Die Ökonomie des Ungelesenen

Warum in der KI-Schwemme der bezahlt werden muss, der prüft

Ein Text, den niemand liest, realisiert den Wert null. KI hat das Erzeugen fast kostenlos gemacht und das Lesen unangetastet gelassen; der Wert wandert also dorthin, wo es eng bleibt: zu Aufmerksamkeit, Prüfung, Entscheidung und Haftung.

Band 11 zieht die ökonomische Konsequenz aus der Denkraum-Gleichung. Ausgangspunkt ist eine Asymmetrie: Die Grenzkosten des Erzeugens sind mit generativer KI faktisch auf null gefallen, die Kosten des Lesens und Prüfens sind unverändert. Der Band beruft sich dabei auf Herbert A. Simon, der 1971 formulierte, dass Reichtum an Information Armut an Aufmerksamkeit erzeugt.

Daraus folgt eine Beobachtung, die vielen nicht gefällt: Die geprüfte Kopie schlägt das ungeprüfte Original. Wer kopiert, erbt die Prüfung mit; wer generiert, vervielfältigt den Prüfbedarf. Der Kernsatz der Bauanleitung lautet deshalb: Generiere die Variablen, kopiere den Großteil.

Praktisch beschreibt der Band fünf Mechaniken der Abarbeitung, mit denen die Anlieferrampe für Information so streng wird wie die für Material: Anlieferrampe, Norm-Palette, Stichprobe mit Lieferschein, Reputation und das Lager geprüfter Teile. Dahinter steht die Figur der letzten Instanz: der Position, die abnimmt und haftet und die das Überangebot deshalb als einzige aufwertet statt entwertet. Der Band ist als Werkzeugbuch angelegt: ein Gedanke pro Kapitel, Proben, die eine Viertelstunde kosten, und Prüffragen, die am nächsten Tag in der Lieferantenmail stehen können. 52 Seiten, in einer Stunde gelesen, am selben Tag benutzt, und mit 7,99 Euro der schnellste Einstieg in die Reihe.

Für wen

Unternehmer, Selbständige und Entscheider, die bereits mit KI produzieren: Berater, Anwälte, Steuerberater, kleine und mittlere Unternehmen, Führungskräfte in Konzernen. Keine Vorkenntnisse erforderlich. Ausdrücklich auch als Mitgeben-Titel für Mandanten und Mitglieder gedacht.

Denkfiguren

• Abarbeitung der Gegenbegriff zum Erzeugen: die Arbeit am eingehenden Material.
• Grenzkostenlinie die Trennlinie zwischen dem, was fast kostenlos wurde, und dem, was teuer blieb.
• Kopie gegen Original die geprüfte Kopie schlägt das ungeprüfte Original, weil Vertrauen mitvervielfältigt wird.
• Die fünf Mechaniken Anlieferrampe, Norm-Palette, Stichprobe mit Lieferschein, Reputation, Lager geprüfter Teile.
• Rente der letzten Instanz der Ertrag, der der abnehmenden und haftenden Position dauerhaft zufällt.

„Sie produzieren bereits mit KI. Schneller als je zuvor. Bezahlt wird trotzdem woanders. Ein Text, den niemand liest, realisiert einen Wert von null. Die KI hat das Schreiben fast kostenlos gemacht und das Lesen unangetastet gelassen."

Klappentext

„Die Kopie erbt die Prüfung, der Generator vervielfältigt den Prüfbedarf."

Biografische Notiz zum Band

Die Schattenfrage

Wie du prüfst, was dir die KI erzählt

Das Buch erklärt Jugendlichen nicht die KI. Es trainiert eine Gewohnheit: hinter jede plausible Antwort die entscheidende Gegenfrage zu setzen. Wer so fragt, bleibt es ein Leben lang: neugierig, kritisch und ohne Angst.

Band 12 ist das erste Jugendbuch der Reihe und überträgt deren Prüfmethode auf Leser ab zwölf. Die Form ist eine Detektivgeschichte in elf Akten, in der der Leser durchgehend als Ermittler angesprochen wird, nicht gewarnt und nicht belehrt. Die Ausgangsfrage lautet: Wie kann eine Maschine überzeugend lügen, ohne zu lügen? Ein Bild zeigt, was nie geschah. Eine Antwort klingt perfekt und stimmt trotzdem nicht. Und gelogen hat niemand, denn da ist niemand.

Ermittelt wird gegen drei Gegner: die tiefe Fälschung, den Feed, der für einen entscheidet, und die freundliche Maschine, die für keine ihrer Antworten geradesteht. Jede Akte liefert dafür ein Werkzeug, das noch am selben Nachmittag am eigenen Handy funktioniert, allein oder gemeinsam mit den Eltern.

Das Buch baut dafür eine eigene Sprachwelt auf, statt Fachbegriffe zu importieren: die Schattenfrage, die tiefe Fälschung, die Reißgrenze, die Argwohn-Karte. Diese Karte wächst über die elf Akten mit; sie ist die Merksatz-Sammlung des Lesers und am Ende sein eigenes Werkzeug. Den letzten Fall löst kein Autor: Der wartet im Spiegel. Über dem Band steht als Motto: „Nichts ist ohne sein Gegenteil wahr." Eine Leseprobe der ersten drei Kapitel ist öffentlich verfügbar; für Erwachsene, die mitlesen wollen, gibt es Band 13.

Für wen

Jugendliche ab 12 Jahren, ebenso Eltern und Lehrkräfte, die mitlesen und mitspielen. Keine Vorkenntnisse erforderlich.

Denkfiguren

• Die Schattenfrage die kritische Gegenfrage, die man hinter jede plausible Antwort setzt.
• Die tiefe Fälschung die eigene Übersetzung für Deepfake: sprachlich gefasst statt technisch.
• Die Argwohn-Karte die Merksatz-Sammlung, die der Leser über die elf Akten hinweg selbst aufbaut.
• Die Reißgrenze der Geltungsbereich einer Aussage: die Stelle, an der sie nicht mehr trägt.

„Wie kann eine Maschine überzeugend lügen, ohne zu lügen? Ein Bild zeigt, was nie geschah. Eine Antwort klingt perfekt und stimmt trotzdem nicht. Und gelogen hat niemand, denn da ist niemand."

Klappentext

„Nur den letzten Fall dieses Buches löst kein Autor für dich. Der wartet im Spiegel."

Klappentext

Die Beweisführung

Warum die Schattenfrage so fragt. Für Lehrer, Eltern und Mentoren

Der Begleitband legt offen, warum das Jugendbuch so gebaut ist, wie es gebaut ist, und gibt Erwachsenen das Werkzeug dahinter in die Hand. „Beweisführung" meint dabei die nachvollziehbare Kette aus Behauptung, Beleg, Gegenfrage, Geltungsbereich und verantwortetem Urteil.

Band 13 beantwortet die Fragen, die ein aufmerksamer Erwachsener beim Lesen von Band 12 stellt: Warum spricht ein Jugendbuch seine Leser als Ermittler an? Warum adelt es die dumme Frage? Und warum steht in keinem einzigen Kapitel eine Warnung?

Dafür legt der Band die Entwicklungspsychologie des Lesermodells der vier Alter offen, dazu die Schamkette hinter dem Nachfragen und die Sprachstrategie bis hinunter zum einzelnen Wort. Er behandelt die heiklen Fälle ausdrücklich, von Cybermobbing bis zum freundlichen Chatbot, und stellt die didaktische Grundfrage, wie man in einer Zeit lehrt, in der jedes Wissen seine Grenze hat, ohne den Lernenden zu betrügen.

Der Band enthält die vollständige Schülerausgabe als kommentierte Ausgabe: jede der elf Akten im Originaltext, gefolgt von Begründung, Praxis und den Stellen, an denen Erwachsene gebraucht werden, und ausdrücklich auch von dem, was Mentoren lassen sollen, damit aus dem Ermittlerspiel kein Unterricht wird. Dazu kommen vierzehn Kapitel Hintergrund und ein Begriffsregister auf drei Ebenen. Aus der Denkraum-Gleichung übernimmt der Band V=1 und V=0 als Prüfvokabular; das zugehörige Preprint ist die einzige Fremdreferenz des Buches. Die Edition erscheint bewusst nur im Druck, und auch der Preis ist ein bewusster Einsatz-Filter: Wer das Buch für einen Jugendlichen kauft, gibt Band 12 in dessen Hand und behält diesen Band selbst.

Für wen

Lehrer, Eltern und Mentoren: Erwachsene, die einen Jugendlichen beim Lesen von Band 12 begleiten. Im Buchhandel geführt als Elternratgeber (Jugendliche, Pubertät) und Pädagogik, ergänzt um Künstliche Intelligenz.

Denkfiguren

• V=1 / V=0 der binäre Prüfauftrag-Schalter aus Band 9, hier zum Grundvokabular der Mentorenarbeit gemacht.
• Die verdeckte und die offene V=0 ob das Fehlen eines Prüfauftrags sichtbar ist oder verborgen bleibt.
• Der Systempunkt die wegbudgetierte Reißgrenze: die Stelle, an der ein Geltungsbereich aus Kostengründen nicht mehr geprüft wird.
• Das Lesermodell der vier Alter das entwicklungspsychologische Modell, nach dem der Text von Band 12 gebaut ist.
• Die Würfelmaschine das Bild, das die stochastische Natur des Systems für Jugendliche fasst.

„Warum spricht ein Jugendbuch seine Leser als Ermittler an, warum adelt es die dumme Frage, und warum steht in keinem Kapitel eine Warnung?"

Klappentext

„Wer das Buch für einen Jugendlichen kauft: Band 12 gehört in dessen Hand, dieser Band in Ihre."

Klappentext